Em uma frase: o melhor nível de segurança não é o mais burocrático — é o que produz evidências proporcionais ao risco e atende às exigências aplicáveis sem criar fricção desnecessária para quem precisa assinar.
Por que essa escolha importa?
Antes de enviar um documento, surge uma dúvida prática: basta um fluxo simples ou vale exigir uma autenticação adicional? Selfie faz sentido? Certificado digital é necessário?
Não existe uma resposta igual para todos os documentos.
Um termo interno de baixo risco não precisa necessariamente do mesmo desenho de segurança de uma operação de alto valor ou de um ato sujeito a exigência legal específica.
A escolha melhora quando a empresa separa três perguntas:
- o que a lei, o órgão ou o destinatário exige?
- qual é o risco se a identidade ou o aceite forem contestados?
- qual fricção é aceitável para concluir a operação?
Primeiro: não confunda nível jurídico com mecanismo de autenticação
Esse é um dos pontos mais importantes.
A Lei nº 14.063/2020 classifica assinaturas eletrônicas em simples, avançadas e qualificadas em seu âmbito de aplicação.
Já mecanismos como e-mail, telefone, código, selfie ou face match são camadas de identificação e evidência dentro de um processo.
Usar uma selfie, por exemplo, não transforma automaticamente qualquer processo em “assinatura avançada”.
A assinatura avançada precisa atender aos requisitos legais aplicáveis, incluindo associação unívoca ao signatário, controle com elevado nível de confiança e possibilidade de detectar alterações posteriores nos dados associados.
A assinatura qualificada, por sua vez, utiliza certificado digital ICP-Brasil.
O que significa autenticar um signatário?
Autenticação é o processo eletrônico usado para confirmar ou reforçar a identificação de quem está realizando uma ação.
Dentro de um fluxo de assinatura, diferentes evidências podem ser combinadas.
O envio para um endereço informado ajuda a vincular o acesso à caixa de e-mail utilizada no processo.
É uma evidência útil, mas precisa ser lida pelo que ela realmente demonstra: acesso àquele canal, dentro das condições do fluxo.
Telefone, SMS ou WhatsApp
Um código enviado ao número informado cria uma etapa adicional de posse do canal.
Pode ser adequado quando a empresa quer reforçar a identificação sem introduzir uma jornada complexa.
Selfie e face match
Em operações de maior risco, comparação facial pode acrescentar uma evidência biométrica ao processo.
Como biometria vinculada a uma pessoa é dado pessoal sensível pela LGPD, seu uso exige cuidados adicionais de finalidade, segurança e tratamento adequado.
Gov.br
Serviços vinculados ao Gov.br podem ser utilizados em determinados contextos de identificação e assinatura.
A assinatura eletrônica disponibilizada pelo Gov.br para contas qualificadas é tratada pelo ITI como assinatura eletrônica avançada nos termos aplicáveis ao serviço.
Isso não significa que qualquer uso de login Gov.br dentro de uma aplicação privada automaticamente tenha a mesma classificação jurídica. É preciso olhar o serviço efetivamente utilizado e como a assinatura é produzida.
Certificado digital ICP-Brasil
É a base da assinatura eletrônica qualificada.
O certificado vincula uma identidade digital a chaves criptográficas dentro da cadeia da ICP-Brasil e segue normas e procedimentos próprios.
É a modalidade de maior nível de confiabilidade na classificação da Lei nº 14.063/2020.
E IP, data e hora?
Dados técnicos ajudam a formar a trilha de auditoria.
Um processo pode registrar elementos como:
- data e hora;
- endereço IP;
- e-mail ou telefone associados ao fluxo;
- eventos de envio, visualização e conclusão;
- método de autenticação utilizado.
Esses elementos são evidências do processo. Eles não devem ser descritos como uma prova isolada e absoluta da identidade de alguém.
O valor aparece no conjunto coerente de evidências.
Como pensar em três faixas de risco
Uma matriz simples ajuda a evitar decisões improvisadas.
Faixa 1: baixo risco e alta frequência
Exemplos podem incluir documentos internos simples, termos operacionais ou formalizações em que o impacto de uma contestação seja limitado.
O objetivo aqui é manter a jornada rápida e registrar evidências suficientes para o contexto.
Dependendo do caso, e-mail, telefone ou código de acesso podem compor o fluxo.
Faixa 2: risco moderado ou necessidade maior de identificação
Quando a operação envolve valor financeiro relevante, contratação mais sensível ou necessidade maior de confirmar identidade, pode fazer sentido adicionar mecanismos como selfie, face match ou outras autenticações disponíveis.
A escolha precisa considerar também LGPD, política de segurança e experiência do usuário.
Faixa 3: exigência legal, regulatória ou risco elevado
Quando houver exigência de assinatura qualificada, certificado ICP-Brasil deve ser utilizado.
Também pode ser uma escolha de política interna para determinados documentos de alta criticidade.
O importante é não concluir que “alto valor” automaticamente torna ICP-Brasil obrigatório. Obrigatoriedade depende de regra aplicável ao ato.
Quando a assinatura qualificada é realmente obrigatória?
A Lei nº 14.063/2020 prevê hipóteses específicas de obrigatoriedade no relacionamento com entes públicos e em determinados atos, além de remeter a outras exigências previstas em lei.
Existem também regras setoriais e procedimentos próprios fora desse contexto.
Por isso, antes de definir uma política, vale verificar:
- legislação do ato;
- regulamentação do setor;
- exigência do órgão destinatário;
- contrato ou política aplicável;
- orientação jurídica quando necessário.
Leia Assinar com certificado digital é seguro? Quando faz sentido usar ICP-Brasil.
O erro de usar “segurança máxima” em tudo
Segurança também envolve usabilidade.
Se uma empresa exige várias etapas de autenticação para todo documento, pode criar:
- abandono da assinatura;
- aumento de suporte;
- dificuldade para pessoas menos familiarizadas com tecnologia;
- atrasos comerciais;
- coleta de dados maior do que a necessária.
Esse último ponto importa para proteção de dados: coletar mais informação “por garantia” não é automaticamente uma boa prática.
O erro oposto: simplificar além do risco
Também não faz sentido tratar todos os documentos como se fossem equivalentes.
Uma operação de alta exposição financeira, uma autorização crítica ou um documento sujeito a compliance pode exigir evidências adicionais.
O custo de uma autenticação extra pode ser pequeno perto do custo de uma disputa difícil de esclarecer depois.
Uma matriz prática para decidir
Antes de configurar o documento, avalie cinco fatores.
1. Exigência formal
Existe lei, regulação, órgão ou destinatário exigindo determinada modalidade?
Se sim, esse requisito vem primeiro.
2. Impacto financeiro
Qual é a exposição se o documento for contestado, fraudado ou assinado pela pessoa errada?
3. Sensibilidade do ato
O documento concede poder, transfere patrimônio, envolve dados delicados ou produz efeitos difíceis de reverter?
4. Relação entre as partes
As partes já possuem relacionamento conhecido ou é uma interação completamente nova?
Isso pode mudar o nível de evidência necessário.
5. Experiência de assinatura
Quantas etapas o signatário consegue concluir sem transformar o processo em barreira?
Segurança que impede o documento de ser concluído também cria um problema operacional.
A trilha de auditoria não substitui uma política de segurança
Registrar eventos é importante, mas segurança começa antes.
Uma política madura também considera:
- quem pode criar documentos;
- quem pode definir autenticações;
- quem tem acesso aos arquivos concluídos;
- como credenciais são protegidas;
- como incidentes são tratados;
- como dados pessoais são armazenados e descartados.
Assinatura é uma parte da arquitetura de segurança, não a arquitetura inteira.
Onde a Rubrica entra?
Na Rubrica, o fluxo pode combinar diferentes níveis e evidências conforme a necessidade da operação, incluindo autenticações adicionais e assinatura com certificado digital quando o caso exigir.
A ideia é evitar dois extremos: usar um processo fraco para um documento crítico ou obrigar todo cliente a passar pela jornada mais pesada disponível.
O nível deve acompanhar o risco.
Para entender a diferença entre modalidades, veja O que é assinatura eletrônica? Como funciona e quando usar e ICP-Brasil: o que é, como funciona e quando você realmente precisa.
Segurança boa é segurança proporcional
A pergunta mais útil não é “qual autenticação é a mais forte?”.
É: qual conjunto de evidências faz sentido para este documento, neste contexto, com este nível de risco?
Quando essa decisão vira uma política, a empresa ganha consistência, reduz burocracia e consegue aumentar a segurança justamente onde ela realmente importa.